Donation Thermometer <= 2.2.6 - Authenticated (Contributor+) Stored Cross-Site Scripting

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin Donation Thermometer, afectando a versiones hasta la 2.2.6. Esta vulnerabilidad permite la ejecución de scripts maliciosos en el contexto del usuario autenticado.

Contexto técnico

El fallo se produce en el plugin Donation Thermometer debido a una falta de validación adecuada de las entradas proporcionadas por los usuarios con rol de contribuyente o superior. Esto permite que un atacante inyecte código JavaScript malicioso que se ejecuta en el navegador de otros usuarios, comprometiendo la seguridad de la sesión.

Impacto potencial

La explotación de esta vulnerabilidad puede resultar en el robo de información sensible, como credenciales de usuario, y en la manipulación de la experiencia del usuario en el sitio web. Esto podría dañar la reputación del negocio y afectar la confianza de los usuarios.

Vector de explotación

Generalmente, la explotación se realiza mediante la inserción de scripts maliciosos en campos de entrada que no son debidamente sanitizados, los cuales son posteriormente visualizados por otros usuarios que tienen acceso al mismo entorno.

Mitigación recomendada

Se recomienda actualizar el plugin Donation Thermometer a la versión 2.2.7 o superior, donde se ha corregido esta vulnerabilidad. Además, se sugiere revisar y reforzar las políticas de validación de entradas en otros plugins y temas utilizados en el sitio.

Señales de detección

Se pueden observar comportamientos inusuales en las sesiones de usuario, como redirecciones no autorizadas o cambios inesperados en el contenido visualizado. También se deben revisar los registros de actividad para detectar intentos de inyección de scripts.

Alcance afectado

Las versiones del plugin Donation Thermometer hasta la 2.2.6 son las que presentan la vulnerabilidad. Se recomienda verificar la versión instalada en todas las instalaciones del plugin.